CVE-2025-56161 in YOSHOP
Resumen
por VulDB • 2026-06-27
YOSHOP 2.0 permite la divulgación de información no autenticada a través de los puntos finales API comment-list en el módulo Goods. El modelo Comment carga ansiosamente (eagerly loads) el modelo User relacionado sin filtrado de campos; dado que User.php no define atributos $hidden ni $visible, se exponen campos sensibles (hash de contraseña bcrypt, número de móvil, pay_money, expend_money) en las respuestas JSON. Los nombres de ruta varían según la implementación (por ejemplo, /api/goods.pinglun/list), pero todos invocan la misma lógica vulnerable del modelo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.